对单独的端口启用验证通过选中该复选框，可指定是否在此端口上启用符合 IEEE 802.1x 的网络访问保护。 显示框说明 该页面包含以下框： • MACAuthentication 为设备启用或禁用 MAC Authentication。 • Guest VLAN为设备启用或禁用“Guest VLAN”功能。 • 802.1X Fallback Timeout [s] 指定 MAC身份验证失败后设备在相关接口中重新初始化以进行 802.1X 身份验证之前经 过的时间间隔（以秒为单位）。 默认值为 0秒，也就是说没有回退超时，且不会重新初始化以进行 802.1X 身份验证。 • 802.1X Fallback Retry Count指定 MAC 身份验证失败后端口重新初始化以进行 802.1X 身份验证的频率。 表 1 包含以下列： • 1st column说明设置对于表 2 的所有端口都有效。 • 802.1X Auth.Control 选择所需设置。 如果选择“NoChange”，则表 2 中的条目保持不变。 • 802.1X Re-Authentication 选择所需设置。 如果选择“NoChange”，则表 2 中的条目保持不变。 • Re-Authentication Timeout 选择所需设置。 如果选择“NoChange”，则表 2 中的条目保持不变。 • Tx Timeout 选择所需设置。 如果选择“No Change”，则表 2中的条目保持不变。 • MAC Authentication 选择所需设置。 如果选择“No Change”，则表 2中的条目保持不变。• MAC Auth. only on Timeout 选择所需设置。 如果选择“No Change”，则表 2中的条目保持不变。 • Adopt RADIUS VLAN Assignment 选择所需设置。 如果选择“No Change”，则表2 中的条目保持不变。 说明 仅在尚未为此 VLAN 组态端口时，才会应用 RADIUS 的 VLAN 分配。如果端口 VLAN ID与 由 RADIUS 分配的 VLAN ID 匹配，则必须预组态此 VLAN 中的成员类型。 说明 专用 VLAN 功能和RADIUS 验证 当通过 RADIUS 验证为 VLAN 的一个或多个端口启用 VLAN 分配时，不应将此 VLAN 另外组态为专用 VLAN。 与通过 RADIUS 验证进行 VLAN 分配相关的专用 VLAN 功能可能会导致系统状态不一致。 •Default VLAN ID 指定所需的 VLAN ID。 如果选择“No Change”，则表 2 中的条目保持不变。 • MACAuth.Max Permitted Addresses 指定可以同时在端口上通信的 MAC 地址数目。 如果输入“NoChange”，则表 2 中的条目保持不变 • Guest VLAN 选择所需设置。 如果选择“No Change”，则表 2中的条目保持不变。 • Guest VLAN ID 指定端口的 VLAN ID。 如果输入“No Change”，则表 2中的条目保持不变 • Guest VLAN max. Permitted Addresses 指定“GuestVLAN”的此端口上可同时允许的终端设备数目。 如果输入“No Change”，则表 2 中的条目保持不变 • Copy toTable 单击此按钮，将为表 2 的所有端口应用这些设置。
表 2 包含以下列： • Port此列会列出此设备上的全部可用端口。 • 802.1X Auth.Control 指定端口的身份验证： – ForceUnauthorized 阻止通过该端口进行数据通信。 – Force Authorized 允许通过该端口进行数据通信，无任何限制。默认设置 – Auto 在端口上使用“802.1X”方法对终端设备进行身份验证。 根据验证结果允许或阻止通过该端口进行数据通信。 •802.1X Re-Authentication 如果想要对已经过身份验证的终端设备周期性重复进行身份重新验证，请启用此选项。 •Re-Authentication Timeout 指定设备在相关接口中进行重新验证之前经过的时间间隔（以秒为单位）。默认值为3600 秒。 • Tx Timeout 该值指定了没有客户端响应的情况下发送 EAP 请求包之前经过的时长（以秒为单位）。如 果MAC 身份验证已启用，则会在第三个 EAP 请求包后从 802.1X 身份验证切换为 MAC 身 份验证。 默认值为 5 秒。•MAC Authentication 组态端口的 MAC 验证： – Disabled 端口的 MAC 验证已禁用。 –Enabled 如果要通过“MAC Authentication”方法对终端设备进行身份验证，请为端口选择此选 项。如果“802.1x Auth. Control”组态为 Auto 且“MAC Authentication”已启用，则“802.1X程序”的超时为 5 秒。如果使用“802.1X”程序进行身份验证时需要在端口上进行手动 输入，5秒时间可能不够。为了能够使用“802.1X”进行身份验证，需在该端口上禁用 MAC 身份验证。 – Sticky如果组态此参数，则会根据端口上当前验证的 MAC 地址自动验证或拒绝新 MAC 地址 (MAC Auth.Max AllowedAddresses)。 如果端口上的新 MAC 地址请求数与端口上当前验证的 MAC 地址数 < 允许的Zui大 MAC地址数，则请求自动成功。 如果端口上的新 MAC 地址请求数与端口上当前验证的 MAC 地址数 ≥ 允许的Zui大 MAC地址数，则请求自动失败。 通过此机制验证的 MAC 地址作为静态 MAC 地址进行存储。链路变化事件以及设备重启过程中，会保留验证状态。必须手动删除 MAC 地址。 说明 要求： • 仅当已在全局为设备启用 MACAuthentication 时，此参数才会激活。 • “802.1X Auth.Control”组态为“ForceAuthorized”。 • 为“MAC Auth.Max Allowed Addresses”组态 ≥ 1 且≤ 5 的值。 • 端口上静态组态的 MAC 地址数 ≤ 允许的Zui大地址数。 说明 不需要为此参数进行 RADIUS服务器组态。 如果组态了此参数，则以下内容适用于对应端口： • 仅可为“MAC Auth.Max AllowedAddresses”组态 ≤ 5 的值。 • 仅当静态 MAC 地址数 < 允许的Zui大 MAC 地址数（“MACAuth.Max Allowed Addresses”）时，才能组态新的静态 MAC 地址。 • MAC Auth. only onTimeout 选中该复选框后，只有在 802.1X 超时后才能进行 MAC 验证，但在 802.1X 验证失败后不能进行。如果未选中该复选框，则在 802.1X 超时和 802.1X 验证失败后都可以进行 MAC 验证。• RADIUS VLANAssignment Allowed RADIUS 服务器将端口所属的 VLAN 通知工业以太网交换机。如果要考虑服务器通知的信息，请启用此选项。 如果设备上已创建 VLAN，则端口只能分配给 VLAN。否则拒绝身份验证 (页 3043)。如果在验证期间使用此功能将端口动态分配到 VLAN，则可使用 VLAN-ID 或 VLAN 名称进 行分配。配置 RADIUS服务器中的以下值： – Tunnel-Type = VLAN – Tunnel-Medium-Type = IEEE-802 –Tunnel-Private-Group-Id = VLAN ID 或 VLAN 名称 工业以太网交换机的区别如下： – VLANID：RADIUS 服务器传输参数“Tunnel-Private-Group-Id”的数字字符串。 – VLAN 名称：RADIUS服务器传输参数“Tunnel-Private-Group-Id”的字母数字字符串。 • Default VLAN ID如果在成功验证期间将 VLAN ID 发送到 RADIUS 服务器，并选中了“RADIUS VLAN AssignmentAllowed”复选框，则端口的当前 PVID 会更改为 RADIUS 服务器发送的值。否 则，可能会在相关 VLAN中建立端口的“Untagged membership”，以实现在相应 VLAN 中 的通信。 如果选中“RADIUS VLANAssignment Allowed”复选框，“Default VLAN ID”决定了 VLAN ID 的分配，但 RADIUS服务器不会在成功进行身份验证后发送 VLAN ID。有两个选项： – 为 default VLAN ID 组态值“0”继续使用当前为此端口组态的 PVID。 – 为 default VLAN ID 组态“1 ... 4094”范围内的值 端口的PVID 变为在此列中组态的“Default VLAN ID”，就好像是该值是由 RADIUS 服务 器传输的。在所有情况下，设备注销后，更改的 PVID 都会复位为原来组态的值。会再次删除之前建 立的所有“端口成员关系”。这一点对于802.1X 身份验证和 MAC 身份验证都适用。• MAC Auth.Max Permitted Addresses – >1 指定可以同时在端口上通信的 MAC 地址数目。 说明 如果设备使用多个 MAC 地址，则必须对所有 MAC地址进行身份验证。将所有待身份 验证的 MAC 地址存储到 RADIUS 服务器上。在“MAC Auth.Max PermittedAddresses”框 中输入数字。 – 0 用户可以设置“0”值。该设置的作用在于：首次成功验证 MAC 地址后，会释放端口的 所有MAC 地址。 使用实例 如果对端口组态值“0”，请将 WLAN 接入点与该端口相连。AP 成功对自身进行身份验证后，将释放此端口中的所有 MAC 地址。连接 AP 的所有 WLAN 客户端均可在此端口中进行通信，无需进行身份验证。确保客户端已通过 AP 进行身份验证。 兼容性 设备和固件版本决定是否可以组态值 0。 如果固件版本< 6.0.2，则“0”值不是有效条目。如果组态“0”值时固件版本 ≥ 6.0.2，且 将 < 6.0.2的固件版本复制至设备中，则会禁用相关端口中的功能 MAC 身份验证。重 新配置这些端口中的 MAC 身份验证： • GuestVLAN 如果想要在身份验证失败时在访客 VLAN 中使用终端设备，请启用此选项。 如果设备上已创建 VLAN，则端口只能分配给VLAN。否则拒绝身份验证 (页 3043)。 该功能也称为“Authentication failed VLAN”。 •Guest VLAN ID 指定访客 VLAN 的 VLAN ID。 • Guest VLAN max. PermittedAddresses 指定“Guest VLAN”的此端口上可同时允许的终端设备数目。 MAC ACL 规则组态 简介 在此页面上为基于MAC 的访问控制列表 (MAC ACL) 指定访问规则。MAC ACL 可用于物理端 口。使用基于 MAC 的ACL，您可指定是转发还是丢弃特定 MAC 地址的帧。 此页面上的组态取决于所使用的设备。请参见系统功能。